近年來勒索軟體市場經歷了劇烈的洗牌。隨著 LockBit 與 BlackCat 等知名組織被執法部門打擊，許多攻擊者開始尋找新的合作對象。在這樣的背景下，一個名為 INC 的勒索軟體組織迅速崛起。根據 Acronis 等安全研究機構的分析，INC 自 2023 年 8 月以來已造成超過 830 家企業受害，並在 2026 年第一季成為全球第四大活躍的勒索軟體威脅。
對於工程師而言，理解 INC 的威脅不僅在於其規模，更在於其技術演進路徑，尤其是它如何利用現代開發語言與系統漏洞來提高攻擊效率。
技術重構：為什麼選擇 Rust 語言
INC 最顯著的技術變動是將其針對 Windows 與 Linux/ESXi 的加密程式全部使用 Rust 語言重寫。這在實務上有兩個核心目的。首先是跨平台開發的便利性，Rust 允許攻擊者以較低成本開發能同時運行在多種作業系統上的惡意程式。其次是增加反編譯的難度，相較於傳統的 C++ 或 C#，Rust 編譯後的二進位檔結構更複雜，這讓安全分析人員在進行逆向工程（Reverse Engineering，即將執行檔還原為可讀碼以分析行為）時面臨更大的挑戰。
針對備份機制的精準打擊
勒索軟體最怕的是企業擁有完善的備份。因此，INC 開發了更新的憑證傾印工具（Credential Dumper），專門針對 Veeam 備份方案。Veeam 是企業常用的備份軟體，而 INC 的工具能夠破解其使用鹽值 DPAPI（Data Protection API，一種 Windows 用於加密敏感資料的機制）加密的憑證。一旦備份伺服器的管理權限被奪取，攻擊者可以直接刪除或加密備份檔，迫使企業在沒有還原手段的情況下支付贖金。
典型的攻擊鏈分析
INC 並不依賴極其高端的零日漏洞，而是將已知的漏洞與工具組合得非常高效。其完整的攻擊路徑可分為以下幾個階段。
第一階段：獲取初始進入點。他們利用社交工程（如魚叉式網路釣魚）、從非法交易市場購買帳號憑證，或攻擊對外開放的設備漏洞。例如 Citrix Netscaler、Fortinet EMS 以及 SimpleHelp 等設備的已知漏洞。
第二階段：權限提升與橫向移動。進入內網後，他們會使用 LOLBins（Living-off-the-Land Binaries，指利用系統內建的合法工具來執行惡意操作，以規避防毒軟體偵測）。常見工具包括 RDP 遠端桌面與 PsExec。
第三階段：癱瘓防禦系統。他們採用 BYOVD（Bring Your Own Vulnerable Driver，指自行攜帶具有已知漏洞的合法驅動程式）技術，透過載入有問題的驅動程式來強行關閉系統的安全性防護。
第四階段：資料外洩與加密。在執行加密前，他們會使用 Rclone 等工具將機密資料外傳，實施雙重勒索（Double Extortion，即威脅不付錢就公開資料，加上加密檔案）。最後執行加密程式，並利用多執行緒（Multithreading）與部分加密（Partial Encryption）技術來大幅提升加密速度。
產業影響與防禦啟示
INC 傾向於攻擊醫療、法律、製造業與建築業。這些產業的共同特點是對營運連續性要求極高，一旦停機將造成巨大的財務損失，因此更有可能支付贖金。
從工程實務來看，對抗這類威脅不能只依賴單一的防毒軟體。企業必須落實漏洞管理，確保邊緣設備（Edge Devices）及時更新補丁；實施最小權限原則，防止攻擊者在奪取單一帳號後能輕易地在內網橫向移動；最重要的是，必須確保備份機制的隔離性（例如採用不可變備份 Immutable Backup），避免備份伺服器與主生產環境處於同一權限域中。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。